Suveräänsus
Euroopa pilv ja Ameerika pilv erinevad eelkõige selle poolest, milline äriühing teenust kontrollib, seejärel selle poolest, milline õigus sellele äriühingule kohaldub, ja alles seejärel serverite asukohariigi poolest. Kaks identset saali Frankfurdis võivad alluda kahele erinevale õiguskorrale.
Sageli võrreldakse andmekeskuste kaarte: Pariis, Dublin, Frankfurt. See on lihtne ja vastab teisejärgulisele küsimusele. Et teada saada, keda saab sundida Teie andmeid välja andma, tuleb vaadata äriühingut, mis neid valdab, ja õigust, millele see allub. Kasulik võrdlus vastandab kaht õiguslikku positsiooni, mitte kaht riiki, ega nimeta võitjat: õige valik sõltub ettevõtte kasutusviisidest. Suveräänsuse mõistet selgitatakse lehel mis on suveräänne pilv ja ostu hindamistabelit lehel määratlus, kriteeriumid ja piirangud. See leht võrdleb.
Microsoft ja Google on Ameerika õiguse alusel asutatud äriühingud. Nende Euroopa lepingud, tütarettevõtted ja andmekeskused liidus ei kaota seda fakti. Kui Ameerika ametiasutus pöördub nende poole Ameerika õiguse alusel, muutub küsimuseks: kas äriühing valdab või kontrollib andmeid, sealhulgas siis, kui kettad asuvad Euroopas?
CLOUD Act, 2018. aasta Ameerika seadus, vastab sellele Ameerika Ühendriikide jurisdiktsiooni alla kuuluvate teenusepakkujate puhul: kehtiv ettekirjutus võib hõlmata teenusepakkuja valduses olevaid andmeid, olenemata nende säilitamise kohast. See ei ole alaline juurdepääs. See on menetlus. Ostja jaoks on praktiline küsimus mujal: ketta asukoht Euroopas ei vabasta Ameerika teenusepakkujat sellest menetlusest.
Need äriühingud pakuvad tegelikke andmete asukoha lahendusi. Microsoft kirjeldab tingimustele vastavate teenuste jaoks Euroopa andmepiiri (EU Data Boundary): kliendiandmeid ja pseudonüümitud isikuandmeid säilitatakse ja töödeldakse EL-is või EFTA-s, professionaalsete teenuste andmeid säilitatakse seal puhkeolekus, dokumenteeritud eranditega (toe kaugjuurdepääs, teatavad eskaleerimised, valikulised funktsioonid, Multi-Geo kliendid väljaspool ulatust). Google pakub hõlmatud sisu jaoks andmepiirkondi, sõltuvalt väljaandest, ning toe juurdepääsu kontrolli (Access Management), mis on saadaval ainult kindlates väljaannetes ja lisavalikutes. Need lahendused vähendavad andmevooge. Need ei muuda tarkvaratootja rahvust.
Ameerika tarkvaratootja, kes teenindab Euroopa kliente, on kahe õiguskorra vahel. Ameerika õigus võib kohustada teda väljastama andmeid, mida ta kontrollib. GDPR (isikuandmete kaitse üldmäärus) sätestab artiklis 48, et kolmanda riigi kohtu või ametiasutuse otsust, millega nõutakse isikuandmete edastamist või avaldamist, saab tunnustada või täitmisele pöörata üksnes juhul, kui see põhineb rahvusvahelisel lepingul, näiteks vastastikuse õigusabi lepingul, mis kehtib selle riigi ja liidu või liikmesriigi vahel. Tekst ei ütle, kuidas tarkvaratootja need kaks nõuet konkreetsel juhul ühitab: teenusepakkuja ülesanne on oma praktikat selgitada ja kliendi ülesanne on seda temalt küsida.
Ameerika õigus näeb ette õiguskaitsevahendi. 18 U.S.C. § 2703(h) kohaselt võib teenusepakkuja 14 päeva jooksul pärast ettekirjutuse kättetoimetamist taotleda selle tühistamist või muutmist, kui ta leiab, et klient ei ole „United States person“, ei ela Ameerika Ühendriikides ja et andmete väljastamine tooks kaasa tõsise ohu rikkuda „kvalifitseeritud välisriigi valitsuse“ õigust. Tegemist on riigiga, mida seob Ameerika Ühendriikidega jõustunud täitevleping. Ameerika Ühendriikide justiitsministeerium avaldab lepingud Ühendkuningriigiga (allkirjastatud 3. oktoobril 2019) ja Austraaliaga (allkirjastatud 15. detsembril 2021). Euroopa Liiduga ei ole ühtegi lepingut jõus; EL-i ja Ameerika Ühendriikide läbirääkimised elektrooniliste tõendite üle jätkusid 2023. aastal; ministeeriumi lehel ei mainita ühtegi lepingut Prantsusmaaga. Ent see konkreetne vaidlustamismehhanism eeldab sellise lepingu olemasolu.
Prantsusmaal on see küsimus avalikult tõstatatud. Senati riigihangete uurimiskomisjoni ees küsiti 10. juunil 2025 Microsoft France’i avalike ja õigusküsimuste direktorilt, kas ta saab vande all tagada, et Prantsuse kodanike andmeid, mis on Ugapi kaudu Microsoftile usaldatud, ei edastata kunagi Ameerika valitsuse ettekirjutuse alusel ilma Prantsuse ametiasutuste selgesõnalise nõusolekuta. Ta vastas: „Ei, ma ei saa seda tagada, kuid, kordan, seda ei ole veel kunagi juhtunud.“ Vastus sisaldab mõlemat arutelu elementi: tagatist, mida äriühing ei saa anda, ja juhtumit, mida tema sõnul ei ole aset leidnud.
Euroopa pilv selle sõna kasulikus tähenduses on pilv, mida käitab Euroopa õiguse alusel tegutsev äriühing, mis ei sõltu kontsernist, mille suhtes kehtib Ameerika andmete üleandmise kohustus. OVHcloud on Prantsuse äriühing. Nextcloud GmbH on Saksa äriühing: see toodab tarkvara, mida käitab klient või majutusteenuse pakkuja. BlueMind on Prantsuse e-posti teenuste äriühing. Infomaniak on Šveitsi äriühing: Šveits asub Euroopas, väljaspool Euroopa Liitu, ja tema suhtes kehtib Komisjoni kaitse piisavuse otsus. Selle liigitamine „Ameerika“ omaks oleks vale. Selle liigitamine „Euroopa Liidu“ omaks oleks samuti vale.
Euroopa õigus ei ole ühtne kilp. Prantsuse operaator vastutab Prantsuse õiguse, Saksa operaator Saksa õiguse ees. Ametiasutuste nõuded on olemas. Need käivad läbi kohtu ja operaatori asukohariigi reeglite.
Euroopa iseloom võib kaduma minna ka allhanke kaudu: Euroopa teenuse käitaja, kes usaldab varunduse, filtreerimise või toe Ameerika teenusepakkujale, toob tagasi just selle, mida ostja tahtis vältida. Lehel ettevõtte kaitsmine CLOUD Acti eest käsitletakse seda punkti üksikasjalikult.
| Küsimus | Ameerika tarkvaratootja pilv, andmed Euroopas | Euroopa äriühingu käitatav pilv |
|---|---|---|
| Kus asuvad kettad? | Sageli valikuliselt EL-i piirkonnas, kirjalike eranditega | Vastavalt lepingule: Prantsusmaa, Saksamaa, muu EL-i riik või kliendi juures |
| Keda saab Ameerika Ühendriikides kohustada väljastama tema kontrolli all olevaid andmeid? | Ameerika tarkvaratootjat, kui ta andmeid valdab või kontrollib | Põhimõtteliselt mitte Euroopa teenuse käitajat, välja arvatud juhul, kui ta sõltub kontsernist või volitatud töötlejast, keda saab |
| Milline kohus kohaliku nõude puhul? | Lepingule kohalduv õigus, mida sageli täiendab tarkvaratootja Ameerika õigus | Teenuse käitaja asukohariigi õigus |
| Täiustatud kontoritarkvara funktsioonid | Väga laiad (Office, Excel, Teams või Docs ja Google’i otsing) | Tootest olenevalt erinevad. Edasijõudnud Exceli, Power BI või Teamsi ökosüsteemi puhul harva samaväärsed |
| Andmetest väljumine | Tegelikud eksporditööriistad, vestluste ja automatiseerimiste ajalugu sageli osaliselt | Tuleb lugeda pakkumise kaupa. E-posti eksport (IMAP) on üldjuhul kõige lihtsam |
Ükski veerg ei võida kõikjal: Ameerika tarkvaratootja on parem funktsioonide ulatuse, Euroopa teenuse käitaja õigusliku positsiooni poolest. Otsustada tähendab teada, milline rida kaalub Teie ettevõtte jaoks kõige rohkem.
Isegi kui andmeid säilitatakse Euroopas, hõlmab Ameerika tarkvaratootja teenus andmete edastamist (toe juurdepääs, eskaleerimised, valikulised funktsioonid), mis peab põhinema GDPR-i alusel.
Varasema raamistiku Privacy Shield (otsus 2016/1250) tunnistas Euroopa Liidu Kohus 16. juulil 2020 kehtetuks (kohtuasi C-311/18, nn Schrems II), eelkõige Ameerika jälgimisprogrammide ulatuse ja tõhusa õiguskaitsevahendi puudumise tõttu. Lepingu tüüptingimused jäävad kehtima, kuid nõuavad juhtumipõhist hindamist.
Seisuga 5. oktoober 2026 võib andmete edastamine sertifitseeritud Ameerika organisatsioonidele tugineda kaitse piisavuse otsusele (EL) 2023/1795, nn Data Privacy Framework. See on jõus. See on vaidlustatud, nagu märgivad advokaadibürood DAC Beachcroft ja WilmerHale. Viimase sõnul jättis Euroopa Liidu Üldkohus 3. septembril 2025 tühistamishagi rahuldamata ning 31. oktoobril 2025 esitati Euroopa Liidu Kohtule apellatsioonkaebus. Ettevaatlik ettevõte dokumenteerib selle aluse oma registris ja näeb ette, mida teha, kui see langeb ära.
See jääb asjakohaseks, kui äritegevus põhineb edasijõudnud Excelil, Power BI-l, Office’i lisandmoodulitel, Teamsil kui valdkonna standardil või kümnetel juba kasutuses olevatel integratsioonidel. Tööriista vahetamine õiguslikel põhjustel ja seejärel ettevõtet käigus hoidva kasutusviisi kaotamine on halb arvestus. Lehel Microsoft 365 võrreldes suveräänse lahendusega kirjeldatakse seda lävendit üksikasjalikult.
See jääb asjakohaseks ka siis, kui andmete edastamise õiguslik analüüs, andmetöötlusleping (DPA) ja andmete asukoha valikud vastavad registri tegelikule vajadusele. Paljud Euroopa ettevõtted kasutavad Microsoft 365 või Google Workspace’i selles raamistikus. Selle väljaütlemine on ausa võrdluse osa. Tehtavaid kontrolle kirjeldatakse lehtedel GDPR ja Microsoft 365 ning GDPR ja Google Workspace.
See muutub asjakohaseks, kui juhtkond soovib, et e-kirju ja faile valdav äriühing oleks Euroopa äriühing, et tugi oleks selles raamistikus kättesaadav ja et kasutusviisid mahuksid e-posti teenuse, failide ja nende veebis redigeerimise, videokonverentside, CRM-i ja telefonside piiresse. See muutub asjakohaseks ka kliendi juures juurutamise puhul, kui ettevõte ei soovi pilve üldse.
Need kaks võimalust ei välista teineteist. Ettevõte võib jätta Ameerika komplekti töökohtadele, mis sellest sõltuvad, ja usaldada ülejäänu Euroopa teenuse käitajale. Selline lahendus nõuab rohkem haldust; see on õigustatud, kui kasutusviiside eraldus on selge.
Juhend Euroopa alternatiivid Microsoft 365-le vaatab läbi Microsoft 365, Google Workspace’i, OVHcloudi, Nextcloudi, Infomaniaki, teised tegijad ja Klyticu koos igaühe kasutusjuhtumiga.
Hüpoteetiline juhtum. Tööstuslikul VKE-l on kaks tootmisüksust. Projekteerimisbüroo töötab edasijõudnud Exceliga ja suhtleb tellijatega Teamsis. Tootmine, hange ja administratsioon kasutavad peamiselt e-posti teenust ja jagatud kaustu, kus asuvad joonised.
Üks tellija nõuab, et tema joonised oleksid Euroopa äriühingu valduses. Projekteerimisbüroo jaoks häiriks edasijõudnud Excelist ja Teamsist loobumine koostööd klientidega: Ameerika komplekt jääb õigustatuks, koos dokumenteeritud andmete edastamise analüüsiga. Teiste osakondade jooniste ja e-posti teenuse puhul vastab Euroopa teenuse käitaja nõudele ilma kasutusvõimalusi kaotamata. Otsus järgib tabeli ridu, mitte põhimõtet.
Ei. CLOUD Act hõlmab andmeid, mida Ameerika õigusele alluv teenusepakkuja valdab või kontrollib, olenemata nende säilitamise kohast. Euroopa piirkond vähendab andmete edastamist. See ei muuda andmeid valdavat äriühingut.
Jah, kui ta sõltub sellele õigusele alluvast kontsernist või usaldab andmeid volitatud töötlejale, kes sellele allub. Seepärast tuleb lugeda emaettevõtet ja volitatud töötlejate loetelu, mitte ainult teenuse käitaja nime.
See annab GDPR-i seisukohast aluse andmete edastamiseks sertifitseeritud Ameerika organisatsioonidele. See on jõus ja vaidlustatud. See ei muuda ei tarkvaratootja rahvust ega Ameerika õiguses ette nähtud ettekirjutuse ulatust.
Klytic kuulub tabeli teise veergu. Seda käitab Prantsuse äriühing Dedicace Software. Majutus on võimalik igas geograafilises piirkonnas, mis vastab kohalduvale jurisdiktsioonile, tingimusel et vajalikud teenused on saadaval, näiteks Euroopas või Mauritiusel, või kliendi serverites.
E-posti teenus põhineb Zimbral, mida toodab Ameerika Ühendriikides Synacor ja käitab Klytic. Dokumendid põhinevad igale kliendile eraldi Nextcloudi instantsil. Klyticul ei ole SecNumCloudi kvalifikatsiooni ning see ei asenda edasijõudnud Excelit, Power BI-d ega Teamsi. Teenuseid ostetakse eraldi: ettevõte võib Microsoft 365 alles jätta ja lisada ainult Klytic MTA filtreerimise, mis paigutatakse tema e-posti teenuse ette. Majutuse üksikasjad on lehel majutus ja suveräänsus.
See leht kirjeldab üldist raamistikku. See ei asenda Teie lepingu analüüsi.
Õiguslik olukord seisuga 5. oktoober 2026. See tekst ei asenda lepingu õiguslikku läbivaatamist. ELi ja USA vaheline andmekaitse piisavuse otsus (EL) 2023/1795 on jõus. Seda vaidlustatakse. SecNumCloudi puhul on määrav ANSSI kataloog.
Vaadatud oktoobris 2026.
E-post, dokumendid, videokonverentsid, CRM ja telefonside, majutatud Teie jurisdiktsioonile vastavas piirkonnas, näiteks Euroopas või Mauritiusel, või Teie ruumides.
Tervituspakkumine
Siduv kohustuseta prooviperiood. Konsultant helistab Teile tagasi, et mõista Teie vajadusi ja valmistada ette Teie Klyticu keskkond.
